Sécurité et confidentialité

Ce guide explique où sont stockées vos données, comment elles sont protégées et qui, au sein de votre cabinet, peut y accéder.

Chiffrement des données#

• En transit : toutes les communications entre votre navigateur et Lawzana Flow s'effectuent via HTTPS
• Au repos : nos fournisseurs cloud chiffrent les données stockées : Google Cloud pour les fichiers importés, DigitalOcean pour la base de données
• Documents : les fichiers importés sont stockés dans Google Cloud Storage avec un chiffrement côté serveur

Résidence des données#

Vos fichiers importés sont stockés dans une région spécifique. Les cabinets qui s'inscrivent sur flow.lawzana.com se voient attribuer la région Europe ; les cabinets qui commencent depuis l'annuaire Lawzana Directory choisissent la leur lors de la création de l'espace de travail.

Seuls les fichiers importés sont stockés dans cette région. La base de données, la recherche, les tâches d'arrière-plan et les serveurs d'application fonctionnent sur DigitalOcean aux États-Unis. Les requêtes IA sont traitées par Google Vertex AI sur son point de terminaison mondial et ne sont donc pas limitées à votre région de stockage de fichiers.

Vous pouvez consulter votre région dans Paramètres → Général sous Région de stockage des fichiers.

Confidentialité des données d'IA#

Ce que Google fait de vos requêtes#

Nous utilisons Google Vertex AI. Google n'utilise pas votre contenu pour entraîner ses modèles, et la journalisation des requêtes est désactivée sur notre projet. Google peut conserver les requêtes en mémoire jusqu'à 24 heures à des fins de mise en cache, et peut les consigner pour détecter d'éventuels abus.

• Vos documents et données ne sont jamais utilisés pour entraîner des modèles d'IA
• La journalisation des requêtes est désactivée sur notre projet Google Cloud
• Google peut conserver les requêtes en mémoire jusqu'à 24 heures pour la mise en cache, de manière isolée au sein de notre projet
• Google peut consigner les requêtes pour détecter les abus
• Lawzana Flow conserve lui-même l'historique de vos conversations avec l'IA, les résumés et les faits extraits au sein de votre dossier

Fonctionnement du traitement par l'IA#

1. Vous demandez une opération d'IA (par exemple, résumer un document)
2. Le document est envoyé à Google Vertex AI pour être traité
3. L'IA génère une réponse
4. La réponse est renvoyée à Lawzana Flow et enregistrée dans votre compte
5. Google traite la requête comme décrit ci-dessus

Authentification et accès#

• Connexion par adresse e-mail et mot de passe, avec vérification de l'adresse e-mail avant votre première connexion. La modification de votre mot de passe vous déconnecte de tous vos autres appareils. Pour ajouter un mot de passe à un compte qui n'en possède pas, nous vous envoyons un lien par e-mail
• Connexion via Google et Microsoft
• Liens magiques pour le portail client : les clients n'ont besoin ni de mot de passe ni de compte
• Rôles : quatre niveaux d'autorisation (Propriétaire, Administrateur, Membre, Observateur). Consultez Équipe et rôles
• Visibilité des enregistrements : choisissez si les membres et observateurs voient l'ensemble des prospects et dossiers ou uniquement ceux qui leur sont assignés ou partagés avec eux
• Murailles éthiques : empêchez des membres de l'équipe d'accéder aux dossiers présentant un conflit d'intérêts. Consultez Murailles éthiques
• Les liens vers le portail expirent, et vous pouvez les révoquer à tout moment

Sécurité des sessions#

• Les sessions utilisent des cookies signés, chiffrés et configurés en HTTP-only (non lisibles par JavaScript)
• Les accès sont revérifiés toutes les quelques minutes ; ainsi, un membre retiré perd rapidement ses accès

Journalisation des audits#

Le journal d'audit enregistre :

• Les connexions
• Les modifications apportées aux prospects, dossiers, contacts, clients et automatisations
• Les chargements, consultations, téléchargements et suppressions de documents
• Les changements d'étape d'un dossier et les conversions de prospects
• Les vérifications de conflits d'intérêts
• Les modifications de rôle et les suppressions de membres de l'équipe
• Les modifications apportées aux paramètres de visibilité, de partage et de murailles éthiques
• Les factures, paiements, saisies de temps et modifications apportées aux comptes de fiducie (trust ledger)
• Les imports de feuilles de calcul

Les journaux d'audit sont :

• Consultables par recherche selon l'action, le type d'enregistrement, l'utilisateur ou la date
• Exportables au format CSV
• Accessibles uniquement au Propriétaire du cabinet, dans Paramètres → Journaux d'audit

Signatures électroniques#

Lorsqu'une personne signe un document via Flow, nous enregistrons le document, le nom du signataire, son adresse e-mail, son adresse IP, les détails de son appareil et de son navigateur, la date et l'heure de chaque étape, l'image de sa signature ainsi que son consentement. Nous conservons également une empreinte numérique (hash) de chaque PDF. Ces enregistrements sont conservés avec les données de votre cabinet jusqu'à ce que celui-ci les supprime ou ferme son compte.

La page publique de vérification indique uniquement si un document a été signé et à quelle date. Elle ne révèle le nom des signataires qu'à une personne qui vérifie un exemplaire identique du PDF signé. Elle n'affiche jamais le document, les adresses e-mail ou les adresses IP.

La signature électronique de Flow est une signature électronique dotée d'une piste d'audit. Il ne s'agit pas d'une signature électronique avancée ou qualifiée au sens du règlement européen eIDAS.

Sécurité de l'infrastructure#

• Les serveurs d'application, la base de données, la recherche et les tâches d'arrière-plan sont hébergés sur DigitalOcean aux États-Unis ; les fichiers importés sont stockés dans Google Cloud Storage
• Le trafic transite par Cloudflare
• En-têtes Content Security Policy (CSP) pour aider à prévenir les attaques de type cross-site scripting (XSS)
• Suivi des erreurs avec Sentry

Sauvegarde des données#

• Sauvegardes automatisées quotidiennes de la base de données, conservées pendant 7 jours
• Restauration à un instant précis (point-in-time) de la base de données au cours de ces 7 jours

Vos données#

• Accords de traitement des données (DPA) disponibles sur demande
• Téléchargez l'ensemble de vos fichiers à tout moment
• Demandez-nous un export complet de vos données ou la suppression de vos données personnelles

Divulgation responsable des vulnérabilités#

Si vous découvrez une faille de sécurité, merci de la signaler à l'adresse [email protected].

Contact#

Pour toute question relative à la sécurité :

• E-mail : [email protected]
• Support général : [email protected]